Qué cubre la seguridad de datos en la nube
La seguridad de datos en la nube cubre los datos en tres estados. Los datos en reposo están en el almacenamiento en la nube y en los servicios de colaboración. Los datos en tránsito se mueven entre dispositivos, la red corporativa y esos servicios. El plano de control abarca cuentas, roles, claves y registros. Decide quién llega a los datos y si ese acceso puede demostrarse.
El alcance depende del modelo de servicio. En la infraestructura como servicio, el cliente gestiona los sistemas operativos, las aplicaciones y la mayoría de las configuraciones de la capa de datos. En el software como servicio, el proveedor ejecuta casi todo y el cliente gestiona sobre todo las identidades y lo que pueden hacer los usuarios. Cuanto más posee el proveedor, más el riesgo se reduce a configuración y comportamiento del usuario.
Control de subidas por servicio en la nube
Cada servicio de almacenamiento en la nube, incluida su versión web, puede configurarse en modo de acceso, auditoría o copia sombra. El módulo de control de almacenamiento en la nube aplica estos modos por separado a cada servicio.
1 / 2
El modelo de responsabilidad compartida
Cada gran proveedor publica un modelo de responsabilidad compartida. El proveedor responde de la nube en sí: hardware, seguridad física y disponibilidad. El cliente sigue siendo responsable de los datos en la nube: clasificación, decisiones de acceso, configuración y lo que los usuarios hacen en los servicios. Ningún proveedor cubre un contenedor dejado como público, un enlace de uso compartido mal dirigido ni un empleado que exporta registros a una cuenta personal.
La mayoría de los incidentes con datos en la nube no los causa un fallo del proveedor. Ocurren cuando el cliente supone que el proveedor se encargó de algo que le correspondía. El primer paso de cualquier programa es trasladar la matriz de responsabilidad de cada servicio a los controles de la organización.
Mala configuración: el fallo más común
La mala configuración es, de forma constante, la principal causa de exposición de datos en la nube. Los entornos cloud cambian más rápido que los ciclos de revisión, los recursos se crean para un sprint o una migración y la excepción se vuelve permanente. Estos son los patrones recurrentes:
| Patrón | Qué sale mal |
|---|---|
| Almacenamiento público | Contenedores con lectura pública, a menudo olvidados tras un uso puntual |
| Uso compartido demasiado permisivo | Enlaces abiertos a cualquiera con el enlace, no a destinatarios concretos |
| Credenciales expuestas | Claves de acceso y tokens de API en repositorios o scripts |
| Registro desactivado | Registro de auditoría apagado por defecto o para ahorrar |
| Privilegios permanentes | Derechos de administrador permanentes en lugar de acceso temporal |
Shadow SaaS y servicios no sancionados
Los empleados adoptan servicios en la nube más rápido de lo que los equipos de seguridad pueden aprobarlos, y esa brecha es el núcleo del shadow IT. Por ejemplo, una app de notas o una cuenta personal de almacenamiento en la nube usada para mover un archivo grande por una conexión lenta. El shadow SaaS rara vez es malintencionado, es comodidad. Pero cada servicio no sancionado es un canal por el que los datos corporativos salen del límite aprobado, fuera de sus reglas de registro y retención.
La dificultad es la visibilidad. Un servicio en el navegador parece tráfico web normal, y un cliente de sincronización parece cualquier otra aplicación. Los programas combinan el inventario de lo que se usa con una política sobre lo aceptable y con controles sobre la propia transferencia. El objetivo es detectar cuándo los datos de trabajo se suben a un servicio no sancionado.
Enfoques de control
En este ámbito operan varias familias de controles, entre ellas Cloud DLP y el DLP de endpoints. Un programa maduro suele necesitar más de una, porque cada una ve una parte distinta del problema:
| Control | Qué cubre |
|---|---|
| Corredores de seguridad de acceso a la nube (CASB)Descubrimiento y política | Descubre los servicios en uso y aplica la política a las transferencias |
| Controles nativos del proveedorAjustes de la plataforma | Cifrado, claves, política de acceso y registros de cada plataforma |
| Cloud DLPInspección de contenido | Inspecciona lo que contiene un archivo, no solo su destino |
| Controles basados en endpointOrigen de la subida | Vigilan las subidas en origen, también desde el navegador |
| Gestión de identidades y accesosQuién puede abrir los datos | Limita quién puede abrir datos en la nube y desde dónde |
Por dónde empezar
Empiece por los servicios que ya guardan los datos más sensibles y luego mapee los canales de subida que los empleados realmente usan. Una lista de controles escrita para todos los servicios en la nube a la vez suele bloquear el trabajo normal y acaba desactivada. Anexet DLP aplica estos controles en el endpoint, donde empieza la subida, y mantiene la pista de auditoría en la infraestructura del cliente.
Lectura recomendada: Sistemas DLP — qué son y cómo funcionan; El concepto de “Zero Trust”.
Una fuga en la nube rara vez parece un ataque. Parece una subida que alguien consideró rutinaria.
Anexet TeamCómo lo resuelve Anexet
Anexet aborda la seguridad de datos en la nube desde el endpoint y no desde el lado de la nube. Los agentes en los puestos de trabajo vigilan y controlan lo que se sube a los servicios de almacenamiento en la nube, clientes de sincronización y uso por navegador por igual, antes de que los datos salgan del dispositivo:
El producto funciona íntegramente on-premise, de modo que los propios datos de monitorización, transferencias capturadas, incidentes e historial de auditoría, permanecen en la infraestructura del cliente. Anexet no examina datos ya almacenados en servicios en la nube y no es un despliegue en la nube; su punto de apoyo está donde los datos corporativos se convierten en una subida.
Control de subidas por servicio
las aplicaciones de almacenamiento en la nube y sus versiones web se vigilan por servicio, con modos de acceso, auditoría y copia sombra, así las subidas de contenido confidencial a almacenamiento no sancionado se detienen en el endpoint.
Decisiones basadas en contenido
las transferencias se evalúan por contenido, tesauros de seguridad (170 diccionarios listos), bancos de hashes, bibliotecas de huellas digitales y etiquetas de confidencialidad de Microsoft, así la política actúa sobre datos sensibles allí donde se suban.
Bloqueo, cuarentena y pista de auditoría completa
según la regla, una subida se bloquea, se pone en cuarentena para revisión o se registra con una pista de auditoría completa y atribuible que cubre usuario, marca de tiempo, canal y acción.
Visibilidad del shadow SaaS
el inventario de aplicaciones instaladas y la categorización de sitios y aplicaciones revelan qué servicios en la nube se usan realmente: el panorama de herramientas sancionadas y no sancionadas que una política necesita.
Anexet DLP
Más información